Tätigkeitsbericht der Ombudsstelle der Stadt Bern 2018

1Stärkung der Datenschutz-Aufsicht der Stadt Bern

Wie bereits im ersten Teil «Ombudsstelle» auf Seite 5 erwähnt, hat die Datenschutzbeauftragte im Berichtsjahr der Aufsichtskommission einen Sonderbericht vorgelegt. Bereits in den Jahresberichten 2011 und fortfolgend sowie auch im letztjährigen Bericht wurde auf einen erheblichen Ressourcenmangel hingewiesen.

Die Datenschutz-Aufsichtsstelle der Stadt Bern steht mit dieser Problematik nicht alleine da. Am 22. Juni 2018 fand von der Konferenz der Schweizerischen Datenschutzbeauftragten (Privatim) in Bern die Medienkonferenz «Kein Datenschutz im digitalen Staat» statt, in welchem auf den allgemein ausgewiesenen erhöhten Ressourcenbedarf aufmerksam gemacht wurde. Am 27. September 2018 hat die Konferenz der Kantonsregierungen (KdK) die «Leitlinien der Kantone zur Digitalen Verwaltung» verabschiedet.² Damit werden Leitlinien und Grundsätze für die Digitalisierung in der öffentlichen Verwaltung festgelegt. Die Digitalisierung bringt zusätzliche Anforderungen an den Schutz und die Sicherheit der Daten der Bürgerinnen und Bürger. Der datenschutzkonforme Umgang mit diesen Personendaten ist deshalb eine grosse Herausforderung für alle Beteiligten.

Nicht nur die KdK, sondern auch der Bund hat sich für eine aktive Digitalisierungsstrategie entschieden. Der Bundesrat hat für die Schweiz die europäische Deklaration zu E-Government («Tallinn Declaration») unterzeichnet.³ Die Bedeutung des Datenschutzes bei der Digitalisierung zeigt sich auch im Bericht der Expertengruppe zur Zukunft der Datenbearbeitung und Datensicherheit vom 17. August 2018 («Expertengruppe Gadient»).⁴ Die Expertengruppe gibt zahlreiche — S. 23 —Empfehlungen ab. In Bezug auf den Schutz der Privatsphäre und der informationellen Selbstbestimmung empfiehlt sie Bund und Kantonen, die Datenschutzbehörden so auszustatten, dass sie ihre gesetzlichen Aufgaben der Sensibilisierung, Beratung und Aufsicht umfassend und wirkungsvoll wahrnehmen können.

Es ist stets zu bedenken, dass das Vertrauen der Bürgerinnen und Bürger in die staatliche Verwaltung ein wichtiger Pfeiler unserer direkten Demokratie ist. Der datenschutzkonforme Umgang mit den Personendaten hilft, dieses Vertrauen nicht nur aufrecht zu erhalten, sondern auch zu stärken.

Zurück zur Stadt Bern: Im Februar 2018 hat der Gemeinderat die Digitalstrategie 2021 verabschiedet und führt dazu aus: «Die vorliegende Digitalstrategie schafft den Rahmen und setzt übergeordnete Ziele für Digitalisierungsmassnahmen in der Stadt über die kommenden Jahre. Dazu gehören strategische Stossrichtungen wie die Digitalisierung des Leistungsangebots der Stadt, der Aufbau von digitalen Schlüsselkompetenzen beim Personal oder die Bereitstellung von Daten als open data»⁵. Im Strategiepapier ist festgehalten: «Der Informationssicherheit und dem Datenschutz misst die Stadt einen hohen Stellenwert bei. Das Sicherheitsniveau orientiert sich an den Erwartungen aus Gesellschaft, Politik und Wirtschaft sowie an den Aufgaben der Verwaltung.»⁶

Die Aufsichtskommission hat das Anliegen der Datenschutzbeauftragten aufgenommen und Ende 2018 einen Ausschuss zur strategischen Begleitung der Ombudsstelle und Datenschutz-Aufsichtsstelle gebildet, welcher sich u.a. mit der Ressourcenaufstockung im Rahmen des ordentlichen Budgetprozesses (und somit ab 2020) auseinandersetzt.

Die Doppelfunktion als Ombudsfrau und Datenschutzbeauftragte ist schweizweit ein Spezialfall. Zu den Fragen der Stellvertretung bei Vakanzen und beim Vorliegen von Ausstandsgründen wird auf Teil 1, Tätigkeitsbericht Ombudsstelle, Seite 4 f. verwiesen.

2Neues EU-Recht; Auswirkungen

Auf Bundesebene ist die Revision zum eidgenössischen Datenschutzgesetz weiterhin im Gang, wobei der schengenrelevante⁷ Teil am 1. März 2019 in Kraft trat. Über den anderen, weit grösseren und umstritteneren Teil, wird noch beraten. Aufgrund der fehlenden umfassenden Kompetenz zur Gesetzgebung im Datenschutzbereich sind der Bund und die Kantone unabhängig voneinander mit der Umsetzung gefordert.

Im Kanton Bern ist am 1. September 2018 die Einführungsverordnung zur EU-Datenschutzrichtlinie 2016/680 in Kraft getreten; sie ist für diejenigen Behörden relevant, welche für die Verarbeitung personenbezogener Daten zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschliesslich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, zuständig sind. Das Amt für Gemeinden- und Raumordnung veröffentlichte am 27. August 2018 in Zusammenarbeit mit der kantonalen Datenschutz-Aufsichtsstelle eine Information betreffend Auswirkungen des europäischen Datenschutzrechts auf die Gemeinden (BSIG Nr.: 1/152.04/10.4), wobei betont wird, dass die Einführungsverordnung nur Anwendung findet, wenn eine Behörde polizeiliche Aufgaben nach Art. 8 Polizeigesetz (PolG) erfüllt.⁸

Die Datenschutz-Aufsichtsstelle erhielt im Berichtsjahr etliche Anfragen zur direkten Anwendbarkeit der EU-Datenschutzgrundverordnung. Das vorgenannte Informationsschreiben BSIG weist darauf hin, dass die EU-Datenschutzgrundverordnung beim gezielten Ansprechen von EU-Bürgern durch Gemeindewebseiten direkt zur Anwendung kommen könnte.⁹ Zu dieser Frage bestehen unter Experten zur Zeit unterschiedliche Meinungen.

Im Hinblick auf die bevorstehende Revision des kantonalen Datenschutzgesetzes und zur Wahrung eines angemessenen Datenschutzniveaus können für den Bereich der städtischen Verwaltung folgende Massnahmen sofort umgesetzt werden:

▪ Dokumentation der Datenbearbeitung im Verfahrensverzeichnis

Die für die Datenbearbeitung verantwortliche Dienststelle hat ein Verzeichnis aller Verarbeitungstätigkeiten zu führen resp. die relevanten Informationen der Datenschutz-Aufsichtsstelle mitzuteilen. Die gesetzlichen Grundlagen für das geforderte Verfahrensverzeichnis sind mit Art. 18 KDSG (Register der Datensammlungen) bereits vorhanden. Bereits heute hat jede Gemeinde ein öffentlich zugängliches Register über die vorhandenen Datensammlungen zu führen, das u.a. Name und Kontaktdaten der verantwortlichen Behörde, Verarbeitungszweck, Art und Umfang der bearbeiteten Personendaten, Empfänger der Daten und Löschfristen erfassen muss. Stichproben haben ergeben, dass das Register der Datensammlungen zumindest teilweise nicht alle notwendigen Angaben enthält. Eine Überarbeitung konnte aus Ressourcengründen noch nicht an die Hand genommen werden.

▪ Datenschutz-Folgenabschätzung

Die Datenschutz-Folgenabschätzung ist vergleichbar mit der heute bereits gesetzlich vorgeschriebenen Vorabkontrolle gemäss Art. 17a KDSG, i.V.

mit Art. 7 der kantonalen Datenschutzverordnung (DSV; BSG 152.040.1). Das Vorabkontrollverfahren der Stadt Bern orientiert sich an der kantonalen Direktionsverordnung über Informationssicherheit und Datenschutz¹⁰ und die darauf basierenden Checklisten, welche von den Informatikdiensten und der Datenschutz-Aufsichtsstelle entsprechend den Bedürfnissen der städtischen Verwaltung angepasst wurden. Die Applikationsverantwortlichen erarbeiten mit Unterstützung der ICT-Sicherheit der Informatikdienste die Grundlagen gemäss Checklisten. Darauf basierend erfolgt die unabhängige Prüfung bezüglich Informationssicherheit und Datenschutz bei der Aufsichtsstelle. Nach heutigem Wissensstand gehen wir davon aus, dass damit die Voraussetzungen der Datenschutz-Folgenabschätzung weitgehend erfüllt werden.

▪ Meldung von Datenschutzverletzungen (sog. data breach notification)

Als Mindeststandard wird verlangt, dass die verantwortliche Person die Aufsichtsstelle bei einer Datenschutzverletzung informieren muss. Eine Verletzung liegt vor, wenn nicht berechtigte Personen oder Systeme auf Personendaten Zugriff haben. Ursache dafür kann ein technischer Fehler, eine menschliche Fehlmanipulation oder ein Cyber-Angriff sein. Dadurch können Daten manipuliert, offengelegt oder vernichtet werden. Dies kann mit erheblichen persönlichen und wirtschaftlichen Folgen für die Betroffenen verbunden sein. Die Datenschutz-Aufsichtsstelle initialisierte zusammen mit der ICT-Sicherheit und dem Informationsdienst die Ausarbeitung eines Merkblatts zum Vorgehen bei Datenschutzverletzungen. Dieses sieht vor, dass die betroffene Dienststelle sofort abklärt, welche Daten und wie viele Personen betroffen sind. Ebenso ist die Ursache der Verletzung zu eruieren und darzulegen, welche sofortigen und welche weiteren Schritte zur Verhinderung von Datenschutzverletzungen unternommen werden.

▪ Informationskonzept

Die Datenbearbeitung hat transparent zu erfolgen und die Bürgerinnen und Bürger sind darüber zu informieren, was mit ihren Daten geschieht.

▪ Richtlinie für Informatik

Die Prinzipien des Datenschutzes sind durch die Gewährleistung der Privatsphäre bereits bei der Entwicklung (sog. privacy by design) und durch datenschutzfreundliche Voreinstellungen (sog. privacy by default) zu beachten. Bei der Planung und Erarbeitung eines Datenverarbeitungsvorganges sind die datenschutzrechtlichen Vorgaben technisch zu integrieren und die Werkseinstellungen datenschutzfreundlich auszugestalten. Bei der Beschaffung von Informatiklösungen soll die Datenschutzkonformität bereits bei der Ausschreibung berücksichtigt werden; beispielsweise hat jede personenbezogene Datenbearbeitung standardmässig verschlüsselt zu erfolgen.

▪ Archivierungskonzept

Für alle bearbeiteten Personendaten müssen zwingend Aufbewahrungsfristen definiert werden, sofern nicht bereits gesetzliche Fristenregeln bestehen.

Empfehlung der Datenschutz-Aufsichtsstelle an den Stadtrat

Die Datenschutz-Aufsichtsstelle empfiehlt dem Stadtrat, die vom kantonalen Amt für Gemeinden und Raumordnung herausgegebene «Musterverordnung zur Ergänzung des kantonalen Datenschutzrechts und zur Internet-Bekanntgabe von öffentlichen Informationen» in das städtische Datenschutzreglement zu übernehmen. In diesem Bericht wird auf die Musterverordnung Stand Januar 2019 Bezug genommen. Die Stadt Bern wird mit Übernahme dieser Regelungen das europäische Datenschutzniveau erreichen.